基于PKI的通用无线认证协议研究

基于PKI的WTLS协议涉及复杂的证书操作,需耗费较大的通信和计算开销,且缺乏对服务器证书的有效性检查.引入可信证书验证代理(TCVP)和证书有效性凭据(CVT)等概念,由TCVP为无线通信节点(WN)生成短时有效的CVT,WN通过交换CVT来完成证书的有效性检查和公钥交换.基于此,提出了一种通用无线认证协议(GWAP).在GWAP框架下,采用ECC算法设计了一种具体的无线安全认证协议,并进行了效率分析.结果表明,该协议在确保安全的前提下降低了通信开销.     

基于身份的BGP路径验证机制

边界网关协议(BGP)因设计缺陷易受到各种类型的攻击。然而，当前BGP路径验证机制中繁重复杂的公钥基础设施(PKI)密钥管理和过量的存储空间开销严重阻碍了BGP安全方案在实际中部署实现。基于此，该文将基于身份的签名算法引入路径验证，提出了一个基于身份的路径验证机制(IDPV)。与当前基于证书的路径验证机制相比，IDPV有效地简化了PKI密钥管理，减少了路由器存储开销，提高了路径验证的性能，促进了BGP安全方案在实际中的应用。     

基于身份的无线传输层安全握手协议改进方案

现有无线传输层安全(WTLS)协议主要基于数字证书构建,存在通信与计算开销较大、未对服务器证书的有效性进行在线验证等不足。以基于身份的密码体制思想,综合运用基于身份的加密(IBE)、基于身份的签名(IBS)及基于身份的密钥协商(IBAKA)等机制,提出了一种基于身份的密码系统(IBC)的WTLS改进协议。改进协议以身份标识为核心,以传递身份标识代替传递证书,使用IBE、IBS及IBAKA分别完成加密、签名及密钥协商等操作,并在密钥计算中融入了加密者的身份信息,使得密文具有消息源的可认证性。对改进协议的安全性及效率的分析表明,改进协议在确保安全的前提下降低了通信开销。     

BGP安全机制的研究

边界网关协议(BGP)是目前域间路由事实上的标准,但是该协议缺少必要的安全机制,存在很多漏洞,面临许多安全威胁,如某个被误配置或控制的BGP路由器可能会导致大规模网络中断。BBN公司提出的S-BGP协议在原有BGP的基础上扩展了一套安全机制,能有效地防范绝大部分安全威胁。论文详细分析了S-BGP协议的安全机制及其实现,对S-BGP的性能开销进行了分析,并通过路由实验进一步验证了S-BGP的安全能力;分析了S-BGP在实际应用中实现集中式证书认证PKI的复杂性,并提出了一种分布式前缀起源认证模型,最后对这两种PKI认证模型进行了比较。     

无线PKI中证书状态查询机制研究与实现

无线PKI技术在移动电子商务中扮演着重要角色,而证书状态查询机制是其关键部件.对无线PKI中的3种常见的证书状态查询机制进行了分析和比较;OCSP协议能够提供实时的证书状态查询服务,但由于无线PKI的特殊限制,并不能直接应用于无线PKI环境中.在充分考虑无线PKI特殊的限制条件基础上,给出了一种基于OCSP协议的适合无线PKI环境的证书状态查询设计方案;详细描述了该设计在具体实现中需要特别注意的几项关键技术,以提高系统的性能和安全性.     

安全高效的异构无线网络可控匿名漫游认证协议

分析传统的匿名漫游认证协议,指出其匿名不可控和通信时延较大的不足.针对上述不足,提出异构无线网络可控匿名漫游认证协议,远程网络认证服务器通过1轮消息交互即可完成对移动终端的身份合法性验证,当移动终端发生恶意操作时,家乡网络认证服务器可协助远程网络认证服务器撤销移动终端的身份匿名性.该协议在实现匿名认证的同时,还具有恶意匿名的可控性,有效防止了恶意行为的发生,且其通信时延较小.安全性证明表明,该协议在CK安全模型中是可证安全的.相对于传统漫游机制而言,该协议更适合于异构无线网络.     

IBC模型在Web安全体系中的应用研究

针对目前基于公钥证书的PKI体系所固有的网络开销大,证书往来过于频繁等缺点,提出并分析了基于身份加密体系(IBC体系)的认证架构和互动模型,说明了IBC模型相对于PKI体系结构的优缺点.针对XML签名和XML加密这两个Web-Security核心协议,比较了使用X.509公钥证书体系和IBC无证书方式在SOAP协议中的实现方式.证明了在保证信息安全的同时,使用IBC模型可以大幅降低网络传输内容,提高了SOA体系的效率和可扩展性.     

一种用于移动IPv6的混合认证方法

随着移动通信的快速发展,通信实体的身份认证日益成为研究人员面临的巨大挑战.在IETF(Internet engineering task force)的移动IPv6草案中,IPSec(IP security)协议和RR(return routability)机制被用于保护相关通信节点之间的通信信令,但解决通信实体身份认证问题的方法存在一定的不足.首先分析了基于证书和基于身份的认证技术的优点和不足.基于证书的认证方法有很好的可扩展性,但PKI(public key infrastructure)的部署和证书     

可证明安全的无双线性对无证书可信接入认证协议

提出一种无双线性对无证书的WLAN可信接入认证协议CTAPwoP.该协议以可信网络连接架构的基本思想为基础,将平台身份认证和平台完整性校验与用户身份认证过程巧妙结合,使得新协议仅需3轮交互就能实现站点(station,STA)与接入点(access point,AP)之间的双向身份认证和单播会话密钥的协商,同时实现AS对STA的平台身份认证和平台完整性校验.为进一步提高性能,该协议利用椭圆曲线上的点乘运算替换了传统无证书公钥密码体制中复杂的双线性对运算.安全性分析表明,该协议在高安全强度的eCK(extended Canetti-Krawczyk)模型下是安全的;性能分析表明:与IEEE802.11i的接入认证方案相比,该协议在计算开销和通信负载方面性能优势明显.     

无线认证协议的模型检验分析研究

模型检验作为一种有效的分析和验证手段,在对有线认证协议的形式化分析上已得到了成功的应用,但关于无线认证协议的相关工作目前还比较少。论文应用模型检验方法对D.S.Wong等提出的无线认证协议(Server-specificMAKEP)的安全性进行分析,在分析过程中充分考察了无线环境中移动装置和无线网络的特点,验证结果表明了该方法用于分析无线认证协议的有效性。     

网格环境中认证模型的研究

针对目前PKI系统建设和维护成本过高,对网格规模有一定限制的问题。研究了公钥基础设施PKI的体系结构,以及基于身份的PKI(ID-PKI)的认证框架,并分析了两种设施的优缺点。提出了一个PKI和ID-PKI相结合的网格认证框架,并对其结构、工作思想作了描述,进一步分析了它的安全性和效率。该认证框架比传统的基于X.509证书的PKI认证系统结构简单、灵活,因而较大地提高了认证效率,降低了系统成本,其安全性也是可以保证的。     

基于WAP的双向认证密钥协商方案

PKI用证书管理公钥。无线网络设备的能量、计算能力和存储容量有限,限制了带证书的数字签名的应用。针对上述问题,利用布鲁姆过滤器技术,结合公钥密码体制,提出一种不带数字证书的、适用于无线移动场景的双向认证密钥协商方案,并对其进行性能分析和安全性分析。结果证明,该方案结合计数型布鲁姆过滤器技术,更容易实现用户与接入点的动态管理。     

移动Ad Hoc网络中带路由机制的密钥管理

移动Ad Hoc网络是一种无中心自组织的多跳无线网络,有效的密钥管理是网络安全的关键。因此,本文提出了一个能够快速响应的密钥管理框架。这个框架通过应用可验证的秘密共享方案来建立PKI,并通过引入路由机制构造了一个快速响应的服务器组。服务器组可以对组内结点的私钥分量更新和所有结点的证书更新提供快速响应。为了验证框架的
的性能,本文通过仿真给出了实验结果。     

基于IBE的无线网络身份认证模型研究

传统的基于PKI无线网络身份认证方案效率较低、适用性较差。基于IBE的身份认证方案无需通过颁发数字证书来绑定用户身份和公钥,可以提高认证效率。针对IBE的这个特点,就IBE在无线网络身份认证中的应用问题开展研究,在此基础上设计了基于IBE的无线网络认证模型和相关协议,并分析协议的效率和安全性。     

基于零知识证明的跨域认证方案

针对基于PKI认证的有线网络与基于IBE认证的无线网络混合组网时,因安全策略、密码体制的不同而导致节点间身份认证困难的问题,设计了一种基于零知识证明的跨PKI/IBE域的身份认证方案,在两个异构信任域之间设置一个零知识证明承诺值代理节点,在此基础上,设计了一个异构信任域身份认证协议,实现域间实体的身份认证,并分析了该协议的正确性、安全性和效率,结果表明其可行有效.     

基于身份密码系统和区块链的跨域认证协议

随着信息网络技术的快速发展和网络规模的持续扩张,网络环境中提供的海量数据和多样服务的丰富性和持久性都得到了前所未有的提升.处于不同网络管理域中的用户与信息服务实体之间频繁交互,在身份认证、权限管理、信任迁移等方面面临一系列安全问题和挑战.本文针对异构网络环境中用户访问不同信任域网络服务时的跨域身份认证问题,基于IBC身份密码系统,结合区块链技术的分布式对等网络架构,提出了一种联盟链上基于身份密码体制的跨信任域身份认证方案.首先,针对基于IBC架构下固有的实体身份即时撤销困难问题,通过加入安全仲裁节点来实现用户身份管理,改进了一种基于安全仲裁的身份签名方案mIBS,在保证功能有效性和安全性的基础上,mIBS性能较ID-BMS方案节省1次哈希运算、2次点乘运算和3次点加运算.其次,本文设计了区块链证书用于跨域认证,利用联盟链分布式账本存储和验证区块链证书,实现域间信任实体的身份核验和跨域认证.所提出的跨域认证协议通过安全性分析证明了其会话密钥安全,并且协议的通信过程有效地减轻了用户端的计算负担.通过真实机器上的算法性能测试,与现有同类方案在统一测试标准下比较,本文方案在运行效率上也体现出了明显的优势.     

一种集成化的PKI数字证书验证安全增强方案

近年来,PKI数字证书服务出现了多次安全事件：CA机构由于攻击等原因签发虚假的TLS服务器数字证书,将攻击者的公钥绑定在被攻击网站的域名上。因此,研究人员提出了多种PKI数字证书验证安全增强方案,用于消除虚假数字证书的影响,现有各种方案在安全性和效率上各有优劣。提出了一种集成化的PKI数字证书验证安全增强方案,以Pinning方案为基础,利用其他方案来改进Pinning方案的缺陷。当浏览器面临TLS服务器数字证书的三种Pinning方案不同状态（初始化、正常使用、更新）,兼顾安全性和执行效率、分别综合使用不同的安全增强方案,整体上达到了最优的安全性和执行效率。完成的集成化PKI数字证书验证安全增强方案能够有效解决虚假数字证书的攻击威胁。     

节点证书与身份相结合的HMIPv6 网络接入认证机制

接入认证是层次型移动IPv6(HMIPv6)网络安全的基本需求.构建了适于HMIPv6的分层认证框架,设计了一种节点证书与身份相结合的签名方案,并以此为基础提出了HMIPv6网络双向接入认证机制.该机制利用基于身份密码技术简化了公钥基础设施的复杂密钥管理过程;以节点证书为接入认证的主要依据,消除了接入网络与家乡网络间的消息交互;采用提出的层次化签名方案,实现了用户与接入网络的双向认证.机制经过简单扩展,能够支持多层HMIPv6网络的接入认证.性能与安全性分析表明,与传统的及其他基于身份的认证方案比较,所提出的机制拥有更高的认证效率和安全性.     

CryptoAPI在基于数字证书身份认证系统中的应用

身份认证是保证信息安全的重要途径。PKI是目前国际上较为成熟的解决开放式互联网络信息安全需求的一套体系。通过对PKI体系、CryptoAPI、数字证书技术的分析和研究,针对网络信息安全需求的特点,探究并实现在PKI体系下利用CryptoAPI构建基于数字证书的身份认证系统。